高木浩光＠自宅の日記

■ NTTレゾナントからdocomo IDについて回答「ドコレキでは、iモードIDの取得はしていないし、今後も取得する予定はない」

今週火曜日、突如「docomo ID」なるサービスが「他社サイトでも使えるようになりました」とアナウンスされ、API仕様書が公開された。

• docomo IDについて, NTTドコモ
• docomo ID認証I/F仕様書, NTTドコモ
  

OpenIDを使うのはよいのだが、しかし、独自機能によって、ログインした利用者（PCで通常のインターネット経由でログインした）について、その人の携帯電話のiモードID（契約者固有ID）を取得できる（個別の本人同意確認なしに）ようになっているのだという。

どうしてこんなことに……。（これが何を意味するのか、今後どうなって行くのか、本来はどうするべきなのか、これについては後日書きたい。）

その日、真っ先に docomo ID に対応したのが、NTTレゾナント（gooを運営している会社）の「ドコレキ」だった。*1

• http://twitter.com/docoreki/status/10214194815
  
• 「gooラボ」で、パソコンと携帯電話の閲覧履歴を共有できるサービス「ドコレキ」の実証実験を開始, NTTレゾナント株式会社, 2010年3月2日

NTTレゾナントといえば、プライバシーマーク取得事業者である。そこで私は、NTTレゾナントのプライバシーポリシーを参照して、「エヌ・ティ・ティレゾナント株式会社個人情報対応窓口」に以下の問い合わせをした（10日午前）。

Subject: 「ドコレキ」のプライバシー方針について

貴社がサービス提供する「ドコレキ」https://docoreki.jp/ におけるプライバシー保護方針についてお尋ねします。

「ドコレキ」は、昨日、NTTドコモによって開始された「docomo ID」でのOpenID方式によるログイン機能に対応されましたが、「docomo ID」では、携帯電話の契約者固有IDである「iモードID」の取得が可能とされています。

そこでお尋ねしますが、

(1)「ドコレキ」では「docomo ID」でログインした際に、利用者の「iモードID」の取得をしていますか？ (yes/no)

(2)上記について回答が「取得している」である場合、取得の目的は何でしょうか？ 取得する必要があるのでしょうか？

以上の点、お尋ねします。

P.S.
「iモードID」は日本の個人情報保護法の定義する「個人情報」には当たらないと思いますが、「iモードID」は個人に係る情報であり、プライバシー性の高い情報であると認識しています。

すると、12日の午後に以下の回答が返ってきた。

「ドコレキ」では「docomo ID」でログインした際に、
利用者の「iモードID」の取得はしておりません。
また、今後も取得する予定はございません。

そうですか。

となると、docomo IDに対応する以上、「iモードIDの取得は行っていません」という表示をしてほしいところだ。プライバシーマーク取得事業者なのだから。

そして、2番目に登場した docomo ID 対応サイト「xx.chew.jp」では、早速「iモードIDは取得していません」との説明が表示されていた。*2

プライバシーマーク制度においても、この新たに登場したプライバシーブリーチの仕組みに対応して、(1)iモードIDの取得をどうしているか、(2)利用者への告知を怠っていないか、これらの点を審査項目に追加するべきではないか。

iモードIDが「個人情報に該当しない」などというのは、日本の個人情報保護法がおかしいだけで、これは個人に直結した個人番号そのもの*3である。プライバシーマーク制度は、個人情報保護法とはまた別のものなので、iモードが「個人情報保護法のいう個人情報には該当しない」からといって、プライバシーマークの取得において無関係ということにはならない。

関連

• 日本のインターネットが終了する日, 2008年7月10日の日記
• ビデオ版「日本のインターネットが終了する日」, 2009年6月14日の日記
• 通信プラットフォーム研究会 傍聴録, 2008年8月10日の日記

■ 追記

さきほど、13時にドコレキのサイトが更新されたようで、ログインボタンの部分に「ドコレキで取得するIDについて」というリンクが現れるようになった。

ビフォー

アフター

ドコレキのログインボタン周辺

リンク先に、昨日まではなかった、「ドコレキではどのようなIDを取得していますか？」というFAQ項目が追加されている。

Q. 1-5. ドコレキではどのようなIDをお客様から取得していますか？

A. OpenID(PCおよびAndroidでの認証目的に限る),FOMAカード製造番号(お客様の携帯以外でのドコレキの不正利用防止の目的に限る)を取得させていただいております。上記以外のIDは取得しておりません。 また、お客様から取得させていただいているID以外に、お客様個別のマイページURLおよびマイボックスIP側ユーザ番号(お客様の携帯の認証の目的の限る）を配布しています。

FOMAカード製造番号を取得しているとのことだが、なぜ必要なのだろうか？ 不正利用防止の目的というけれども、その意味をなしているのだろうか。